情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度春期 午前Ⅱ 問17: SQL インジェクション対策について，Web アプリケーションの実装における対策と，Web アプリケーションの実装以外の対策として，ともに適切なものはどれか。

正解

エ. プレースホルダを利用する。／データベースのアカウントがもつデータベースアクセス権限を必要最小限にする。

正答率 100.0%（1人中 1人が正解）

問題の解説

SQLインジェクションの根本対策はプレースホルダ(プリペアドステートメント)で値とSQL構文を分離することで、これがアプリ実装側の正解。実装以外では、万一侵入されても被害を限定するため、DBアカウントの権限を必要最小限に絞るのが有効。両方を満たすエが正しい。他の選択肢はXSSやコマンドインジェクション等、別の脆弱性向けの対策が混在している。

選択肢ごとの解説

• アシェル不起動とchrootはOSコマンドインジェクション向けの対策で、SQLインジェクション対策ではない。
• イセッションID乱数化とTLS秘匿はセッション・盗聴対策で、SQLインジェクションの直接対策ではない。
• ウパス名を受け取らない等はディレクトリトラバーサル対策で、SQLインジェクションの対策に当たらない。
• エプレースホルダ利用とDB権限の最小化は、実装と実装以外の双方で有効なSQLインジェクション対策で正解。